JP6828632B2 - 検知装置、検知方法および検知プログラム - Google Patents

検知装置、検知方法および検知プログラム Download PDF

Info

Publication number
JP6828632B2
JP6828632B2 JP2017150771A JP2017150771A JP6828632B2 JP 6828632 B2 JP6828632 B2 JP 6828632B2 JP 2017150771 A JP2017150771 A JP 2017150771A JP 2017150771 A JP2017150771 A JP 2017150771A JP 6828632 B2 JP6828632 B2 JP 6828632B2
Authority
JP
Japan
Prior art keywords
error
attack
vehicle
bus
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017150771A
Other languages
English (en)
Other versions
JP2019029960A (ja
Inventor
芳博 濱田
芳博 濱田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sumitomo Wiring Systems Ltd
AutoNetworks Technologies Ltd
Sumitomo Electric Industries Ltd
Original Assignee
Sumitomo Wiring Systems Ltd
AutoNetworks Technologies Ltd
Sumitomo Electric Industries Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sumitomo Wiring Systems Ltd, AutoNetworks Technologies Ltd, Sumitomo Electric Industries Ltd filed Critical Sumitomo Wiring Systems Ltd
Priority to JP2017150771A priority Critical patent/JP6828632B2/ja
Priority to DE112018003971.4T priority patent/DE112018003971T5/de
Priority to US16/634,605 priority patent/US11218501B2/en
Priority to CN201880044892.1A priority patent/CN110832809B/zh
Priority to PCT/JP2018/015211 priority patent/WO2019026352A1/ja
Publication of JP2019029960A publication Critical patent/JP2019029960A/ja
Application granted granted Critical
Publication of JP6828632B2 publication Critical patent/JP6828632B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/002—Countermeasures against attacks on cryptographic mechanisms
    • H04L9/004—Countermeasures against attacks on cryptographic mechanisms for fault attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Small-Scale Networks (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)

Description

本発明は、検知装置、検知方法および検知プログラムに関する。
従来、車載ネットワークにおけるセキュリティを向上させるための車載ネットワークシステムが開発されている。
たとえば、特許文献１（特開２０１６−１１６０７５号公報）には、以下のような車載通信システムが開示されている。すなわち、車載通信システムは、通信データの送信側が生成するメッセージ認証コードである送信側コードと、前記通信データの受信側が生成するメッセージ認証コードである受信側コードとを使用してメッセージ認証を行う車載通信システムであって、車載ネットワークに接続され、第１の暗号鍵と前記第１の暗号鍵とは異なる第２の暗号鍵のうち前記第１の暗号鍵だけを保持する第１のＥＣＵと、前記車載ネットワークに接続され、前記第１の暗号鍵を少なくとも保持する第２のＥＣＵと、前記車載ネットワーク及び車外ネットワークに接続され、前記第１の暗号鍵と前記第２の暗号鍵のうち前記第２の暗号鍵だけを保持して、前記第２の暗号鍵を使用して前記車載ネットワークにおける通信時に前記送信側コード又は前記受信側コードを生成する第３のＥＣＵとを備え、前記第２のＥＣＵは、前記第１の暗号鍵を使用して生成した送信側コードを付与した通信データを送信し、前記第１のＥＣＵは、前記通信データを受信した場合に、前記第１の暗号鍵を使用して生成した受信側コードによって、前記受信した通信データに付与された送信側コードの検証を行う。
特開２０１６−１１６０７５号公報 特開２０１６−９７８７９号公報 特開２０１５−１３６１０７号公報
ルネサス エレクトロニクス株式会社、"ＣＡＮ入門書 Ｒｅｖ． １．００"、［ｏｎｌｉｎｅ］、［平成２９年６月１７日検索］、インターネット〈ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｒｅｎｅｓａｓ．ｃｏｍ／ｊａ−ｊｐ／ｄｏｃ／ｐｒｏｄｕｃｔｓ／ｍｐｕｍｃｕ／ａｐｎ／００３／ｒｊｊ０５ｂ０９３７＿ｃａｎａｐ．ｐｄｆ〉 Ｋ． Ｃｈｏ、外１名、「Ｅｒｒｏｒ Ｈａｎｄｌｉｎｇ ｏｆ Ｉｎ−ｖｅｈｉｃｌｅ Ｎｅｔｗｏｒｋｓ Ｍａｋｅｓ Ｔｈｅｍ Ｖｕｌｎｅｒａｂｌｅ」、ＣＣＳ ’１６ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２０１６ ＡＣＭ ＳＩＧＳＡＣ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ、Ｐ．１０４４−１０５５ 亀岡 良太、外５名、「ラズベリーパイからのスタッフエラー注入によるＣＡＮ ＥＣＵへのバスオフ攻撃」、２０１７ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ、１Ｅ２−２ 中山 淑文、外３名、「車載ＣＡＮバスにおける電気的データ改竄の効果」、２０１７ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ、１Ｅ２−３
特許文献１に記載の車載通信システムでは、車載ネットワークに限定して接続される第１のＥＣＵおよび第２のＥＣＵがメッセージ認証に用いる第１の暗号鍵と、車載ネットワークおよび車外ネットワークの両方に接続される第３のＥＣＵが用いる第２の暗号鍵とが異なることにより、車外ネットワークに接続されない第１のＥＣＵおよび第２のＥＣＵに対する車外ネットワークからのサイバー攻撃を防いでいる。
しかしながら、たとえば、各ＥＣＵ間を接続するバスにおいて伝送される信号を電気的に操作するようなサイバー攻撃に対しては、上記のようなセキュリティ対策が無効化されることがある。
このような攻撃を受けた場合において、車載ネットワークにおける攻撃を精度よく検知するための技術が求められる。
この発明は、上述の課題を解決するためになされたもので、その目的は、車載ネットワークにおける攻撃を精度よく検知することが可能な検知装置、検知方法および検知プログラムを提供することである。
（１）上記課題を解決するために、この発明のある局面に係わる検知装置は、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置であって、前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、前記バスにおける通信エラーを監視する監視部と、前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、前記集計部の集計結果に基づいて前記攻撃を検知する検知部とを備える。
（６）上記課題を解決するために、この発明のある局面に係わる検知方法は、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置における検知方法であって、前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、前記バスにおける通信エラーを監視するステップと、監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計するステップと、集計結果に基づいて前記攻撃を検知するステップとを含む。
（７）上記課題を解決するために、この発明のある局面に係わる検知プログラムは、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置において用いられる検知プログラムであって、前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、コンピュータを、前記バスにおける通信エラーを監視する監視部と、前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、前記集計部の集計結果に基づいて前記攻撃を検知する検知部、として機能させるためのプログラムである。
本発明は、このような特徴的な処理部を備える検知装置として実現することができるだけでなく、検知装置を備える車載通信システムとして実現することができる。また、本発明は、検知装置の一部または全部を実現する半導体集積回路として実現することができる。
本発明によれば、車載ネットワークにおける攻撃を精度よく検知することができる。
図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。 図２は、本発明の実施の形態に係る車載通信システムにおける車載ネットワークにおいて伝送されるデータフレームの一例を示す図である。 図３は、本発明の実施の形態に係る車載通信システムにおける車載ネットワークにおいて伝送されるデータフレームの一例を示す図である。 図４は、本発明の実施の形態に係る車載通信システムにおけるトランシーバの状態遷移の一例を示す図である。 図５は、本発明の実施の形態に係る車載ネットワークにおける攻撃を説明するための図である。 図６は、本発明の実施の形態に係る車載ネットワークにおける電気的データ改ざん攻撃を説明するための図である。 図７は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。 図８は、本発明の実施の形態に係るゲートウェイ装置において用いられる長監視間隔期間および短監視間隔期間の一例を示す図である。 図９は、本発明の実施の形態に係るゲートウェイ装置における集計部が作成する集計表の一例を示す図である。 図１０は、本発明の実施の形態に係るゲートウェイ装置における集計部が作成する集計表の一例を示す図である。 図１１は、本発明の実施の形態に係るゲートウェイ装置がサイバー攻撃を検知する際の動作手順を定めたフローチャートである。 図１２は、本発明の実施の形態に係るゲートウェイ装置がサイバー攻撃を検知する際の動作手順を定めたフローチャートである。
最初に、本発明の実施形態の内容を列記して説明する。
（１）本発明の実施の形態に係る検知装置は、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置であって、前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、前記バスにおける通信エラーを監視する監視部と、前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、前記集計部の集計結果に基づいて前記攻撃を検知する検知部とを備える。
このような構成により、識別情報ごとの通信エラーの発生状況の集計結果に基づいて、フレームの差出元または宛先の車載装置ごとの通信エラーの発生状況を認識することができるので、たとえば、バスにおいて伝送される信号を電気的に操作するようなサイバー攻撃を受けて通信エラーの発生した車載装置を、特定することができる。したがって、車載ネットワークにおける攻撃を精度よく検知することができる。
（２）好ましくは、前記検知部は、前記集計結果における各前記識別情報間での通信エラーの発生状況の偏りに基づいて前記攻撃を検知する。
このような構成により、各識別情報間での通信エラーの発生状況の偏りに基づいて、たとえば、車載ネットワークにおける各車載装置において満遍なく通信エラーが発生しているのか、または当該各車載装置のうちの特定の少数の車載装置に通信エラーが発生しているのかを認識することができる。これにより、たとえば、各車載装置において満遍なく通信エラーが発生している場合には電気的ノイズの影響も考慮して攻撃の検知を慎重に判断することができ、また、特定の少数の車載装置に通信エラーが発生している場合には、攻撃の可能性が高いと判断することができる。
（３）好ましくは、前記検知部は、前記通信エラーの発生回数の前記識別情報ごとの合計、および前記通信エラーの発生した前記識別情報の数であるエラーＩＤ数に基づいて前記攻撃を検知する。
このような構成により、たとえば、通信エラーの発生回数の多い車載装置に対して攻撃を受けたと判断しようとする場合において、通信エラーの発生した車載装置数を考慮することができるので、攻撃の有無をより正しく判断することができる。
（４）より好ましくは、前記検知部は、第１の監視間隔における前記合計と第１のしきい値との第１の比較結果および前記エラーＩＤ数と第２のしきい値との第２の比較結果、ならびに複数の前記第１の監視間隔からなる第２の監視間隔における前記合計と第３のしきい値との第３の比較結果および前記エラーＩＤ数の平均と第４のしきい値との第４の比較結果の少なくともいずれか一方に基づいて前記攻撃を検知する。
このような構成により、たとえば、第１の監視間隔における合計が第１のしきい値より大きい場合においても、エラーＩＤ数が第２のしきい値以上であるときには、電気的ノイズによって通信エラーが広範に発生していることが考えられるので、攻撃を誤って検知してしまうことを防ぐことができる。また、たとえば、第１の監視間隔における合計が第１のしきい値より大きく、かつエラーＩＤ数が第２のしきい値より小さいときには、特定の少数の車載装置において通信エラーが発生していることから、当該特定の少数の車載装置に対する攻撃をより正しく検知することができる。また、第２の監視間隔における合計が第３のしきい値より大きい場合においても、エラーＩＤ数の平均が第４のしきい値以上であるときには、電気的ノイズによって通信エラーが広範に発生していることが考えられるので、攻撃を誤って検知してしまうことを防ぐことができる。また、たとえば、第２の監視間隔における合計が第３のしきい値より大きく、かつエラーＩＤ数の平均が第４のしきい値より小さいときには、特定の少数の車載装置において通信エラーが発生していることから、当該特定の少数の車載装置に対する攻撃をより正しく検知することができる。
（５）より好ましくは、前記検知部は、前記第１の比較結果、前記第２の比較結果および前記エラーＩＤ数と前記第２のしきい値より大きい第５のしきい値との比較結果、ならびに前記第３の比較結果、前記第４の比較結果および前記平均と前記第４のしきい値より大きい第６のしきい値との比較結果の少なくともいずれか一方に基づいて前記攻撃を検知する。
たとえば、第１の監視間隔におけるエラーＩＤ数、および第２の監視間隔におけるエラーＩＤ数の平均の少なくともいずれか一方が極端に大きい場合、車載ネットワークにおける多数の車載装置に対して攻撃が行われていると考えられる。上記の構成により、車載ネットワークにおける各車載装置に対する一斉攻撃をより精度よく検知することができる。
（６）本発明の実施の形態に係る検知方法は、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置における検知方法であって、前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、前記バスにおける通信エラーを監視するステップと、監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計するステップと、集計結果に基づいて前記攻撃を検知するステップとを含む。
このような構成により、識別情報ごとの通信エラーの発生状況の集計結果に基づいて、フレームの差出元または宛先の車載装置ごとの通信エラーの発生状況を認識することができるので、たとえば、バスにおいて伝送される信号を電気的に操作するようなサイバー攻撃を受けて通信エラーの発生した車載装置を、特定することができる。したがって、車載ネットワークにおける攻撃を精度よく検知することができる。
（７）本発明の実施の形態に係る検知プログラムは、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置において用いられる検知プログラムであって、前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、コンピュータを、前記バスにおける通信エラーを監視する監視部と、前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、前記集計部の集計結果に基づいて前記攻撃を検知する検知部、として機能させるためのプログラムである。
このような構成により、識別情報ごとの通信エラーの発生状況の集計結果に基づいて、フレームの差出元または宛先の車載装置ごとの通信エラーの発生状況を認識することができるので、たとえば、バスにおいて伝送される信号を電気的に操作するようなサイバー攻撃を受けて通信エラーの発生した車載装置を、特定することができる。したがって、車載ネットワークにおける攻撃を精度よく検知することができる。
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。また、以下に記載する実施の形態の少なくとも一部を任意に組み合わせてもよい。
［構成および基本動作］
図１は、本発明の実施の形態に係る車載通信システムの構成を示す図である。
図１を参照して、車載通信システム３０１は、ゲートウェイ装置（検知装置）１０１と、複数の車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）１２１とを備える。
車載通信システム３０１は、車両１に搭載される。車載ネットワーク１２は、車両１の内部における車載装置の一例である、複数の車載ＥＣＵ１２１およびゲートウェイ装置１０１を含む。
ゲートウェイ装置１０１には、バス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄが接続される。以下、バス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄの各々を、バス１３とも称する。
なお、ゲートウェイ装置１０１には、４つのバス１３が接続される構成に限らず、３つ以下または５つ以上のバス１３が接続されてもよい。
バス１３には、たとえば複数の車載ＥＣＵ１２１が接続される。バス１３は、たとえば、非特許文献１（ルネサス エレクトロニクス株式会社、”ＣＡＮ入門書 Ｒｅｖ． １．００”、［ｏｎｌｉｎｅ］、［平成２９年６月１７日検索］、インターネット〈ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｒｅｎｅｓａｓ．ｃｏｍ／ｊａ−ｊｐ／ｄｏｃ／ｐｒｏｄｕｃｔｓ／ｍｐｕｍｃｕ／ａｐｎ／００３／ｒｊｊ０５ｂ０９３７＿ｃａｎａｐ．ｐｄｆ〉）に記載のＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）（登録商標）の規格に従うバスである。
なお、バス１３には、複数の車載ＥＣＵ１２１が接続される構成に限らず、１つの車載ＥＣＵ１２１が接続される構成であってもよい。また、バス１３は、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）（登録商標）、イーサネット（登録商標）、およびＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）等の規格に従うバスであってもよい。
車載ＥＣＵ１２１は、たとえば、ＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、自動運転ＥＣＵ、エンジンＥＣＵ、センサ、ナビゲーション装置、ヒューマンマシンインタフェース、およびカメラ等である。
ゲートウェイ装置１０１は、バス１３を介して車載ＥＣＵ１２１と通信を行うことが可能である。ゲートウェイ装置１０１は、車両１において、異なるバス１３に接続された車載ＥＣＵ１２１間でやり取りされる情報を中継する中継処理を行う。
図２は、本発明の実施の形態に係る車載通信システムにおける車載ネットワークにおいて伝送されるデータフレームの一例を示す図である。図２には、標準フォーマットのデータフレームが示される。
図２を参照して、バス１３において、データフレームは、インターフレームスペースＩＦＳ間において伝送される。
データフレームは、先頭から、ＳＯＦ（Ｓｔａｒｔ Ｏｆ Ｆｒａｍｅ）、ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）、ＲＴＲ（Ｒｅｍｏｔｅ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｒｅｑｕｅｓｔ）、ＣＯＮＴＲＯＬ、ＤＡＴＡ、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）、ＣＲＣ ＤＥＬＩＭＩＴＥＲ、ＡＣＫ ＳＬＯＴ、ＡＣＫ ＤＥＬＩＭＩＴＥＲおよびＥＯＦ（Ｅｎｄ Ｏｆ Ｆｒａｍｅ）の領域を有する。
領域は、対応のビット数の長さを有する。また、各領域におけるビットのレベルは、レセシブ固定、ドミナント固定、ならびにレセシブおよびドミナントの可変のうちのいずれか１つである。
具体的には、ＳＯＦ領域は、１ビットの長さを有する。ＳＯＦ領域における１ビットのレベルは、ドミナント固定である。
ＩＤ領域は、１１ビットの長さを有する。ＩＤ領域における１１個のビットは、レセシブおよびドミナントの可変である。
ＩＤ領域における１１個のビットの示す値（以下、ＣＡＮ−ＩＤとも称する。）は、識別情報の一例であり、データフレームの差出元および宛先を認識可能である。
また、ＣＡＮ−ＩＤは、たとえば、データフレームに含まれるデータの種類を示す。
車載ネットワーク１２におけるバス１３において、互いに異なるＣＡＮ−ＩＤを含む複数のデータフレームが伝送される。
車載ネットワーク１２では、データフレームの送信は、たとえばブロードキャストにより行われる。たとえば、バス１３に接続されたある車載装置が、送信ノードとして、予め設定されたＣＡＮ−ＩＤを含むデータフレームをブロードキャストした場合、当該バス１３に接続された他の車載装置は受信ノードとして動作し、ブロードキャストされたデータフレームを受信する。
この際、受信ノードは、受信したデータフレームに含まれるＣＡＮ−ＩＤに基づいて、受信したデータフレームが自己にとって必要であるか否かを判断する。
車載ネットワーク１２では、１つの受信ノードが、受信したデータフレームを自己にとって必要であると判断することもあるし、複数の受信ノードが、受信したデータフレームを自己にとって必要であると判断することもある。
上記のように、車載ネットワーク１２では、データフレームに含まれるＣＡＮ−ＩＤに基づいて、当該データフレームの差出元および宛先を特定することが可能である。
また、ＣＡＮ−ＩＤは、たとえば、通信調停の優先順位に用いられる。
バス１３では、ＣＡＭＡ／ＣＡ（Ｃａｒｒｉｅｒ Ｓｅｎｓｅ Ｍｕｌｔｉｐｌｅ Ａｃｃｅｓｓ ｗｉｔｈ Ｃｏｌｌｉｓｉｏｎ Ａｖｏｉｄａｎｃｅ）方式に従って、最初にデータフレームを送信した車載ＥＣＵ１２１が送信権を獲得する。
たとえば、２つ以上の車載ＥＣＵ１２１がほぼ同時にデータフレームの送信を開始した場合、ＩＤ領域の１ビット目から調停を行い、ドミナントレベルを最も長く連続して送信した車載ＥＣＵ１２１がデータフレームの送信を行うことができる。調停の敗者となった車載ＥＣＵ１２１は、データフレームの送信を停止し、受信動作を開始する。
車載ネットワーク１２では、レセシブレベルおよびドミナントレベルは、それぞれ論理値１および論理値ゼロに対応するので、より小さいＣＡＮ−ＩＤを含むデータフレームが優先的に伝送される。
図３は、本発明の実施の形態に係る車載通信システムにおける車載ネットワークにおいて伝送されるデータフレームの一例を示す図である。図３には、拡張フォーマットのデータフレームが示される。
図３を参照して、拡張フォーマットのデータフレームでは、図２に示す標準フォーマットのデータフレームと比べて、ＩＤ領域とＲＴＲ領域との間において、ＳＲＲ（Ｓｕｂｓｔｉｔｕｔｅ Ｒｅｍｏｔｅ Ｒｅｑｕｅｓｔ）、ＩＤＥ（Ｉｄｅｎｔｉｆｉｅｒ Ｅｘｔｅｎｓｉｏｎ）およびＥＸＴＥＮＤＥＤ ＩＤの領域がさらに設けられる。
［バスオフ攻撃］
図４は、本発明の実施の形態に係る車載通信システムにおけるトランシーバの状態遷移の一例を示す図である。
図４を参照して、バス１３を介して通信するゲートウェイ装置１０１および車載ＥＣＵ１２１には、トランシーバが設けられる。トランシーバは、送信エラーカウンタＴＥＣおよび受信エラーカウンタＲＥＣを有する。
トランシーバは、ＣＡＮの通信規格に従って動作し、エラーアクティブ状態、エラーパッシブ状態およびバスオフ状態のいずれか１つの状態をとる。
エラーアクティブ状態は、バス１３上の通信に正常に参加することができる状態である。エラーパッシブ状態は、エラーを起こしやすい状態である。バスオフ状態は、バス１３上の通信に参加できない状態であり、すべての通信が禁止される。
エラーアクティブ状態またはエラーパッシブ状態にあるトランシーバは、エラーを検出した場合、エラーを検出したことを示すエラーフレームをバス１３へ送信する。また、当該トランシーバは、たとえば、ＩＤ毎プロトコルエラー監視区間（図２および図３参照）におけるデータの送信中にエラーを検出した場合、データフレームの送信を中断することもある。
また、トランシーバは、自己が送信ユニットとして動作するときにエラーを検出した場合、送信エラーカウンタＴＥＣのカウント値を、検出したエラーの内容に応じて増加させる。
また、トランシーバは、自己が受信ユニットとして動作するときにエラーを検出した場合、受信エラーカウンタＲＥＣのカウント値を、検出したエラーの内容に応じて増加させる。
また、トランシーバは、自己が送信ユニットとして動作するときにエラーを検出せずにメッセージを送信できた場合、送信エラーカウンタＴＥＣのカウント値をデクリメントする。
また、トランシーバは、自己が受信ユニットとして動作するときにエラーを検出せずにメッセージを受信できた場合、受信エラーカウンタＲＥＣのカウント値をデクリメントする。
トランシーバは、たとえば、起動されると初期状態を経てエラーアクティブ状態になる。
エラーアクティブ状態にあるトランシーバは、送信エラーカウンタＴＥＣのカウント値または受信エラーカウンタＲＥＣのカウント値が１２７より大きい値になると、エラーパッシブ状態へ遷移する。
エラーパッシブ状態にあるトランシーバは、送信エラーカウンタＴＥＣのカウント値および受信エラーカウンタＲＥＣのカウント値の両方が１２８より小さい値になると、エラーアクティブ状態へ遷移する。
また、エラーパッシブ状態にあるトランシーバは、送信エラーカウンタＴＥＣのカウント値が２５５より大きい値になると、バスオフ状態へ遷移する。
バスオフ状態にあるトランシーバは、連続する１１ビットのレセシブビットを１２８回バス１３上において検出した場合、送信エラーカウンタＴＥＣのカウント値および受信エラーカウンタＲＥＣのカウント値の両方をゼロにリセットするとともに、エラーアクティブ状態へ遷移する。
図５は、本発明の実施の形態に係る車載ネットワークにおける攻撃を説明するための図である。
図５を参照して、バス１３には、車載ＥＣＵ１２１である車載ＥＣＵ１２１Ａ，１２１Ｂと、攻撃デバイス１２３とが接続されている。車載ＥＣＵ１２１Ａ，１２１Ｂは、トランシーバ１２２を含む。
バスオフ攻撃は、たとえば、非特許文献２（Ｋ． Ｃｈｏ、外１名、「Ｅｒｒｏｒ Ｈａｎｄｌｉｎｇ ｏｆ Ｉｎ−ｖｅｈｉｃｌｅ Ｎｅｔｗｏｒｋｓ Ｍａｋｅｓ Ｔｈｅｍ Ｖｕｌｎｅｒａｂｌｅ」、ＣＣＳ ’１６ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２０１６ ＡＣＭ ＳＩＧＳＡＣ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ、Ｐ．１０４４−１０５５）および非特許文献３（亀岡 良太、外５名、「ラズベリーパイからのスタッフエラー注入によるＣＡＮ ＥＣＵへのバスオフ攻撃」、２０１７ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ、１Ｅ２−２）に記載されている。
バスオフ攻撃では、攻撃デバイス１２３は、攻撃対象の車載ＥＣＵ１２１におけるトランシーバ１２２の自己検査機能を攻撃することにより当該トランシーバ１２２の送信品質が低下したと誤認識させ、攻撃対象の車載ＥＣＵ１２１をバス１３から離脱させる。この結果、攻撃を受けた車載ＥＣＵ１２１は、通信不能に追い込まれる。
より詳細には、トランシーバ１２２は、たとえば、データフレームを送信する際に受信も同時に行うことにより、バス１３へ送信したデータと同じデータがバス１３から受信されたか否かを確認する。
トランシーバ１２２は、バス１３へ送信したデータと同じデータがバス１３から受信された場合、送信が正常に行われたと判断する。一方、トランシーバ１２２は、バス１３へ送信したデータと異なるデータがバス１３から受信された場合、送信においてエラーが発生したと判断する。
より詳細には、攻撃デバイス１２３は、たとえば、車載ＥＣＵ１２１Ｂを攻撃する場合、ＩＤ毎プロトコルエラー監視区間（図２および図３参照）において、車載ＥＣＵ１２１Ｂが送信するレセシブビットをドミナントビットで上書きする。
これにより、車載ＥＣＵ１２１Ｂにおけるトランシーバ１２２は、レセシブビットを送信したにも関わらずドミナントビットを受信したため送信においてエラーが発生したと判断し、送信エラーカウンタＴＥＣのカウント値を増加させる。
攻撃デバイス１２３がこの攻撃を繰り返すことにより、車載ＥＣＵ１２１Ｂのトランシーバ１２２における送信エラーカウンタＴＥＣのカウント値はさらに増加する。当該送信エラーカウンタＴＥＣのカウント値が２５５より大きくなると、車載ＥＣＵ１２１Ｂにおけるトランシーバ１２２はバスオフ状態に遷移し、トランシーバ１２２は、バス１３上の通信に参加できなくなってしまう。
［電気的データ改ざん攻撃］
図６は、本発明の実施の形態に係る車載ネットワークにおける電気的データ改ざん攻撃を説明するための図である。
図６を参照して、図２および図３に示すデータフレームにおける１ビットの期間には、シンクロナイゼーションセグメントＳＳ、プロパゲーションタイムセグメントＰＴＳ、フェーズバッファセグメントＰＢＳ１およびフェーズバッファセグメントＰＢＳ２が含まれる。
各セグメントは、Ｔｑ（Ｔｉｍｅ ｑｕａｎｔｕｍ）という最小時間単位で構成される。ＳＳのＴｑ数は、１に固定である。ＰＴＳ、ＰＢＳ１およびＰＢＳ２のＴｑ数は、所定の範囲内で任意の値に設定可能である。
また、サンプルタイミングＳＰは、ＰＢＳ１とＰＢＳ２との間に設けられる。車載ネットワーク１２において、ＰＴＳ、ＰＢＳ１およびＰＢＳ２のＴｑ数は車載ＥＣＵ１２１ごとに様々な値に設定されるので、車載ネットワーク１２における各車載ＥＣＵ１２１のサンプルタイミングＳＰは、一般にばらついている。
電気的データ改ざん攻撃は、たとえば、非特許文献４（中山 淑文、外３名、「車載ＣＡＮバスにおける電気的データ改竄の効果」、２０１７ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ、１Ｅ２−３）に記載されている。
電気的データ改ざん攻撃では、送信ユニットのサンプリングポイントＳＰより遅いサンプリングポイントＳＰを有する受信ユニットに対して攻撃が行われる。
たとえば、図５において、車載ＥＣＵ１２１Ｂにおけるトランシーバ１２２および車載ＥＣＵ１２１Ａにおけるトランシーバ１２２がそれぞれ送信ユニットおよび受信ユニットとして動作する状況を想定する。
この例では、送信ユニットにおけるサンプルタイミングＳＰがビットの先頭から４Ｔｑ目であり、また受信ユニットにおけるサンプルタイミングＳＰがビットの先頭から６Ｔｑ目である。
攻撃デバイス１２３は、送信ユニットのサンプリングポイントＳＰでは改ざんせずに、受信ユニットのサンプリングポイントＳＰにおいてデータ改ざん用の電気信号をバス１３へ送信することで、送信ユニットからのデータを改ざんする。これにより、送信ユニットにおけるビットエラー検出を回避しつつ受信ユニットが受信するデータを改ざんすることが可能となる。
より詳細には、攻撃デバイス１２３は、送信ユニットがデータビットを送信する場合において、ビットの先頭から４Ｔｑ目が経過してから６Ｔｑ目に至るまでに、当該データビットを改ざんするための電気信号をバス１３へ送信する。
送信ユニットは、自己が送信したデータビットを４Ｔｑ目のサンプルタイミングで取得するので、正常に送信したと判断する。
一方、受信ユニットは、攻撃デバイス１２３によって改ざんされた不正なデータビットを６Ｔｑ目に取得してしまう。
このような電気的データ改ざん攻撃では、送信ユニットおよび受信ユニットの両方においてエラーが検出されない。
しかしながら、上述したように、各車載ＥＣＵ１２１のサンプルタイミングＳＰがばらついているので、車載ネットワーク１２におけるすべての車載ＥＣＵ１２１においてエラーを検出させずに電気的データ改ざん攻撃を行うことは困難であると考えられる。
したがって、一般に、車載ネットワーク１２における一部の車載ＥＣＵ１２１が、電気的データ改ざん攻撃を検出してエラーフレームをバス１３へ送信する状況となる。
このような、バスオフ攻撃および電気的データ改ざん攻撃等の車載ネットワーク１２における攻撃をより精度よく検知するための技術が求められる。
そこで、本発明の実施の形態に係るゲートウェイ装置では、以下のような構成および動作により、このような課題を解決する。
［ゲートウェイ装置１０１の構成］
図７は、本発明の実施の形態に係る車載通信システムにおけるゲートウェイ装置の構成を示す図である。
図７を参照して、ゲートウェイ装置１０１は、送受信部（監視部）５１Ａ，５１Ｂ，５１Ｃ，５１Ｄと、中継部５２と、集計部５４と、検知部５５と、記憶部５６とを備える。以下、送受信部５１Ａ，５１Ｂ，５１Ｃ，５１Ｄの各々を、送受信部５１とも称する。
なお、ゲートウェイ装置１０１は、４つの送受信部５１を備える構成に限らず、３つ以下、または５つ以上の送受信部５１を備える構成であってもよい。
ゲートウェイ装置１０１は、検知装置として機能し、識別情報を含むデータフレームが伝送されるバス１３を含む車載ネットワーク１２における攻撃を検知する。
より詳細には、ゲートウェイ装置１０１における送受信部５１は、たとえば、トランシーバであり、バス１３に接続される。具体的には、送受信部５１Ａ，５１Ｂ，５１Ｃ，５１Ｄは、それぞれバス１３Ａ，１３Ｂ，１３Ｃ，１３Ｄに接続される。
送受信部５１は、自己の接続されたバス１３からデータフレームを受信すると、ＩＤ監視区間において受信した各ビットのレベルからＣＡＮ−ＩＤを取得する（図２および図３参照）。
送受信部５１は、取得したＣＡＮ−ＩＤに基づいて、受信したデータフレームが中継を要するフレームであるか否かを判断する。
送受信部５１は、受信したデータフレームが中継を要するフレームであると判断した場合、当該データフレームを中継部５２へ出力する。
中継部５２は、データフレームの中継処理を行う。具体的には、中継部５２は、たとえば、送受信部５１Ａからデータフレームを受けると、受けたデータフレームに含まれるＣＡＮ−ＩＤに基づいて、当該データフレームを出力すべき送受信部５１を特定する。
より詳細には、中継部５２は、たとえば、ＣＡＮ−ＩＤと送受信部５１との対応関係を示すテーブルを有している。この例では、中継部５２は、当該対応関係に基づいて、当該ＣＡＮ−ＩＤに対応する送受信部５１として送受信部５１Ｂを特定する。そして、中継部５２は、上記データフレームを送受信部５１Ｂへ出力する。
送受信部５１Ｂは、中継部５２からデータフレームを受けると、受けたデータフレームをバス１３Ｂへ送信する。
また、送受信部５１は、バス１３における通信エラーを監視する。より詳細には、送受信部５１は、ＩＤ監視区間においてＣＡＮ−ＩＤを取得した後、ＩＤ毎プロトコルエラー監視区間におけるビット列を監視する。
送受信部５１は、たとえば、差出元の車載ＥＣＵ１２１によるデータフレームの送信の中断を検出した場合、およびエラーフレームを受信した場合、通信エラーが発生したと判断する。
そして、送受信部５１は、通信エラーが発生したと判断したデータフレームのＣＡＮ−ＩＤを集計部５４へ通知する。
図８は、本発明の実施の形態に係るゲートウェイ装置において用いられる長監視間隔期間および短監視間隔期間の一例を示す図である。なお、図８において、横軸は時間を示す。
図８を参照して、集計部５４は、送受信部５１の監視結果に基づいて、識別情報ごとの通信エラーの発生状況を集計する。
より詳細には、集計部５４は、たとえば、短監視間隔期間ＳＴ１，ＳＴ２，ＳＴ３，ＳＴ４，ＳＴ５を含む長監視間隔期間ＬＴを設定する。短監視間隔期間ＳＴ１〜ＳＴ５は、連続している。以下、短監視間隔期間ＳＴ１，ＳＴ２，ＳＴ３，ＳＴ４，ＳＴ５の各々を、短監視間隔期間ＳＴとも称する。
なお、集計部５４は、５つの短監視間隔期間ＳＴを含む長監視間隔期間ＬＴを設定する構成に限らず、２つ、３つ、４つまたは６つ以上の短監視間隔期間ＳＴを含む長監視間隔期間ＬＴを設定してもよい。
図９は、本発明の実施の形態に係るゲートウェイ装置における集計部が作成する集計表の一例を示す図である。
図９を参照して、集計部５４は、たとえば、短監視間隔期間ＳＴの各々における通信エラーの発生回数の合計値、および長監視間隔期間ＬＴにおける通信エラーの発生回数の合計値を含む集計表Ｔｂｌ１を送受信部５１ごとに作成して保持する。図９に示す集計表Ｔｂｌ１は、たとえば、送受信部５１Ａ用の集計表である。
集計表Ｔｂｌ１では、車載ネットワーク１２において用いられるＣＡＮ−ＩＤ数分の行が設けられ、各行には、短監視間隔期間ＳＴ１〜ＳＴ５および長監視間隔期間ＬＴにそれぞれ対応するフィールドが設けられる。
集計部５４は、送受信部５１ＡからＣＡＮ−ＩＤの通知を受けるごとに、以下の処理を行う。
すなわち、集計部５４は、集計表Ｔｂｌ１において、通知されたＣＡＮ−ＩＤに対応する行において、通知を受けたタイミングを含む短監視間隔期間ＳＴに対応するフィールドにおけるプロトコルエラー発生回数をインクリメントする。
具体的には、集計部５４は、たとえば、短監視間隔期間ＳＴ１において、送受信部５１ＡからＣＡＮ−ＩＤとして「１」の通知を受けると、ＣＡＮ−ＩＤが「１」の行において、短監視間隔期間ＳＴ１に対応するフィールドにおけるプロトコルエラー発生回数をインクリメントする。
集計部５４がこのような処理を行うことにより、短監視間隔期間ＳＴ１が満了すると、ＣＡＮ−ＩＤが「１」、「２」および「Ｎ」の行において、短監視間隔期間ＳＴ１に対応するフィールドにおけるプロトコルエラー発生回数としてそれぞれ５回、５回およびゼロ回が集計表Ｔｂｌ１に記録される。
集計部５４は、短監視間隔期間ＳＴ２〜短監視間隔期間ＳＴ５においても、同様の処理を行う。
そして、集計部５４は、長監視間隔期間ＬＴが満了すると、長監視間隔期間ＬＴにおけるＣＡＮ−ＩＤごとのプロトコルエラー発生回数を集計表Ｔｂｌ１に書き込む。
より詳細には、集計部５４は、短監視間隔期間ＳＴ１〜ＳＴ５におけるプロトコルエラー発生回数の合計値をＣＡＮ−ＩＤごとに算出する。
集計部５４は、ＣＡＮ−ＩＤごとに、算出した合計値を、当該ＣＡＮ−ＩＤの行において長監視間隔期間ＬＴに対応するフィールドに書き込む。
具体的には、集計部５４は、たとえば、ＣＡＮ−ＩＤが「１」の行において、短監視間隔期間ＳＴ１〜ＳＴ５におけるプロトコルエラー発生回数の合計値として５０回を算出する。
集計部５４は、算出した５０回を、ＣＡＮ−ＩＤが「１」の行において長監視間隔期間ＬＴに対応するフィールドに書き込む。
図１０は、本発明の実施の形態に係るゲートウェイ装置における集計部が作成する集計表の一例を示す図である。
図１０を参照して、集計部５４は、たとえば、各短監視間隔期間ＳＴにおけるバス内プロトコルエラー分布、および長監視間隔期間ＬＴにおけるバス内プロトコルエラー分布の平均を含む集計表Ｔｂｌ２を送受信部５１ごとに作成して保持する。図１０に示す集計表Ｔｂｌ２は、たとえば、送受信部５１Ａ用の集計表である。
集計表Ｔｂｌ２では、短監視間隔期間ＳＴ１〜ＳＴ５および長監視間隔期間ＬＴにそれぞれ対応するフィールドが設けられる。
集計部５４は、短監視間隔期間ＳＴが満了すると、当該短監視間隔期間ＳＴにおけるバス内プロトコルエラー分布を算出し、算出したバス内プロトコルエラー分布を当該短監視間隔期間ＳＴに対応するフィールドに書き込む。
ここで、バス内プロトコルエラー分布は、通信エラーの発生した識別情報の数であるエラーＩＤ数の一例である。具体的には、バス内プロトコルエラー分布は、短監視間隔期間ＳＴにおいて、プロトコルエラー発生回数が１回以上となったＣＡＮ−ＩＤの個数である。
具体的には、集計部５４は、たとえば、短監視間隔期間ＳＴ１が満了すると、短監視間隔期間ＳＴ１において、プロトコルエラー発生回数が１回以上のＣＡＮ−ＩＤが「１」および「２」であることから、バス内プロトコルエラー分布として２を算出する。
そして、集計部５４は、算出した２を当該短監視間隔期間ＳＴ１に対応するフィールドに書き込む。
集計部５４は、短監視間隔期間ＳＴ２〜短監視間隔期間ＳＴ５の各々が満了した場合においても、同様の処理を行う。
そして、集計部５４は、長監視間隔期間ＬＴが満了すると、長監視間隔期間ＬＴにおけるバス内プロトコルエラー分布の平均を長監視間隔期間ＬＴに対応するフィールドに書き込む。
具体的には、集計部５４は、短監視間隔期間ＳＴ１〜ＳＴ５における各バス内プロトコルエラー分布の平均として、（２＋２＋１＋１＋１）を５で除した値である１．４を算出する。
集計部５４は、算出した１．４を長監視間隔期間ＬＴに対応するフィールドに書き込む。
再び図７を参照して、検知部５５は、集計部５４の集計結果に基づいて車載ネットワーク１２における攻撃を検知する。
詳細には、検知部５５は、たとえば、集計結果における各ＣＡＮ−ＩＤ間での通信エラーの発生状況の偏りに基づいて車載ネットワーク１２における攻撃を検知する。
より詳細には、検知部５５は、たとえば、通信エラーの発生回数のＣＡＮ−ＩＤごとの合計、およびバス内プロトコルエラー分布に基づいて車載ネットワーク１２における攻撃を検知する。
検知部５５は、たとえば、短監視間隔ごとに短間隔検知処理を行う。具体的には、検知部５５は、たとえば、短監視間隔期間ＳＴにおける通信エラーの発生回数のＣＡＮ−ＩＤごとの合計としきい値Ｔｈ１との比較結果Ｒｓｔ１、バス内プロトコルエラー分布としきい値Ｔｈ２との比較結果Ｒｓｔ２、およびバス内プロトコルエラー分布としきい値Ｔｈ２より大きいしきい値Ｔｈ５との比較結果Ｒｓｔ５に基づいて車載ネットワーク１２における攻撃を検知する。
より具体的には、検知部５５は、たとえば、集計部５４によって設定された短監視間隔期間ＳＴ１，ＳＴ２，ＳＴ３，ＳＴ４，ＳＴ５および長監視間隔期間ＬＴに従って動作し、短監視間隔期間ＳＴ１が満了すると、以下の処理を行う。
すなわち、検知部５５は、短監視間隔期間ＳＴ１におけるプロトコルエラー発生回数のＣＡＮ−ＩＤごとの合計値を、集計部５４が保持する集計表Ｔｂｌ１（図９参照）から取得する。
また、検知部５５は、短監視間隔期間ＳＴ１におけるバス内プロトコルエラー分布を、集計部５４が保持する集計表Ｔｂｌ２（図１０参照）から取得する。
検知部５５は、たとえば、「１」〜「Ｎ」のＣＡＮ−ＩＤの中から昇順にＣＡＮ−ＩＤを１つずつ選択し、選択したＣＡＮ−ＩＤに対応するプロトコルエラー発生回数を用いた評価を行う。
具体的には、検知部５５は、たとえば、選択したＣＡＮ−ＩＤ（以下、対象ＣＡＮ−ＩＤとも称する。）に対応するプロトコルエラー発生回数の合計がしきい値Ｔｈ１より大きく、かつバス内プロトコルエラー分布がしきい値Ｔｈ２より小さい場合、少数の車載ＥＣＵ１２１に対するサイバー攻撃である少数攻撃が発生したと判断する。検知部５５は、判断結果をログとして記憶部５６に記録する。
たとえば、１〜２個の車載ＥＣＵ１２１に対してサイバー攻撃があった場合、サイバー攻撃された車載ＥＣＵ１２１が差出元または宛先となるデータフレームに含まれるＣＡＮ−ＩＤについてのプロトコルエラー発生回数は大きくなる。一方、サイバー攻撃された車載ＥＣＵ１２１を差出元または宛先として示すＣＡＮ−ＩＤの個数は少数であるため、バス内プロトコルエラー分布は大きくならない。上記の構成により、検知部５５は、少数攻撃が発生したことをより正しく判断することができる。
また、検知部５５は、たとえば、対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の合計がしきい値Ｔｈ１より大きく、かつバス内プロトコルエラー分布がしきい値Ｔｈ５より大きい場合、多数の車載ＥＣＵ１２１に対するサイバー攻撃である多数攻撃が発生したと判断する。検知部５５は、判断結果をログとして記憶部５６に記録する。
たとえば、多数の車載ＥＣＵ１２１に対してサイバー攻撃があった場合、サイバー攻撃された車載ＥＣＵ１２１が差出元または宛先となるデータフレームに含まれるＣＡＮ−ＩＤについてのプロトコルエラー発生回数は大きくなる。また、サイバー攻撃された車載ＥＣＵ１２１を差出元または宛先として示すＣＡＮ−ＩＤの個数も多数であるため、バス内プロトコルエラー分布が極めて大きくなる。上記の構成により、検知部５５は、多数攻撃が発生したことをより正しく判断することができる。
また、検知部５５は、たとえば、対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の合計がしきい値Ｔｈ１以下であるか、またはバス内プロトコルエラー分布がしきい値Ｔｈ２以上でありかつしきい値Ｔｈ５以下である場合、ノイズまたは車載ＥＣＵ１２１の故障等による通信エラーが発生したと判断する。この場合、検知部５５は、判断結果を記憶部５６に記録しない。
たとえば、ノイズはランダムに発生することが多いので、通信エラーの発生するデータフレームもランダムとなる。このため、バス内プロトコルエラー分布は大きくなる。また、車載ＥＣＵ１２１が経年劣化する場合、車載ＥＣＵ１２１が差出元または宛先となるデータフレームの通信エラーが散発的に発生すると考えられる。このため、バス内プロトコルエラー分布が小さくても、車載ＥＣＵ１２１が差出元または宛先となるデータフレームに含まれるＣＡＮ−ＩＤについてのプロトコルエラー発生回数も小さくなる。上記の構成により、検知部５５は、少数攻撃または多数攻撃の発生を誤って判断してしまうことを防ぐことができる。
検知部５５は、たとえば、集計部５４によって設定された短監視間隔期間ＳＴ２，ＳＴ３，ＳＴ４，ＳＴ５が満了した場合の各々においても、短監視間隔期間ＳＴ１が満了した場合と同様に、短間隔検知処理を行う。
また、検知部５５は、たとえば、長監視間隔ごとに長間隔検知処理を行う。具体的には、検知部５５は、たとえば、長監視間隔期間ＬＴにおける通信エラーの発生回数のＣＡＮ−ＩＤごとの合計としきい値Ｔｈ３との比較結果Ｒｓｔ３、バス内プロトコルエラー分布の平均としきい値Ｔｈ４との比較結果Ｒｓｔ４、および当該平均としきい値Ｔｈ４より大きいしきい値Ｔｈ６との比較結果Ｒｓｔ６に基づいて車載ネットワーク１２における攻撃を検知する。
より具体的には、検知部５５は、長監視間隔期間ＬＴが満了すると、長監視間隔期間ＬＴにおけるプロトコルエラー発生回数のＣＡＮ−ＩＤごとの合計値を、集計部５４が保持する集計表Ｔｂｌ１（図９参照）から取得する。
また、検知部５５は、長監視間隔期間ＬＴにおけるバス内プロトコルエラー分布の平均を、集計部５４が保持する集計表Ｔｂｌ２（図１０参照）から取得する。
検知部５５は、たとえば、「１」〜「Ｎ」のＣＡＮ−ＩＤの中から昇順にＣＡＮ−ＩＤを１つずつ選択し、選択したＣＡＮ−ＩＤに対応するプロトコルエラー発生回数を用いた評価を行う。
具体的には、検知部５５は、たとえば、選択したＣＡＮ−ＩＤすなわち対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の合計がしきい値Ｔｈ３より大きく、かつバス内プロトコルエラー分布の平均がしきい値Ｔｈ４より小さい場合、少数攻撃が発生したと判断する。検知部５５は、判断結果をログとして記憶部５６に記録する。
たとえば、１〜２個の車載ＥＣＵ１２１に対してサイバー攻撃があった場合、サイバー攻撃された車載ＥＣＵ１２１が差出元または宛先となるデータフレームに含まれるＣＡＮ−ＩＤについてのプロトコルエラー発生回数は大きくなる。一方、サイバー攻撃された車載ＥＣＵ１２１を差出元または宛先として示すＣＡＮ−ＩＤの個数は少数であるため、バス内プロトコルエラー分布の平均は大きくならない。上記の構成により、検知部５５は、少数攻撃が発生したことをより正しく判断することができる。
また、検知部５５は、たとえば、対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の合計がしきい値Ｔｈ３より大きく、かつバス内プロトコルエラー分布の平均がしきい値Ｔｈ６より大きい場合、多数攻撃が発生したと判断する。検知部５５は、判断結果をログとして記憶部５６に記録する。
たとえば、多数の車載ＥＣＵ１２１に対してサイバー攻撃があった場合、サイバー攻撃された車載ＥＣＵ１２１が差出元または宛先となるデータフレームに含まれるＣＡＮ−ＩＤについてのプロトコルエラー発生回数は大きくなる。また、サイバー攻撃された車載ＥＣＵ１２１を差出元または宛先として示すＣＡＮ−ＩＤの個数も多数であるため、バス内プロトコルエラー分布の平均が極めて大きくなる。上記の構成により、検知部５５は、多数攻撃が発生したことをより正しく判断することができる。
また、検知部５５は、たとえば、対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の合計がしきい値Ｔｈ３以下であるか、またはバス内プロトコルエラー分布の平均がしきい値Ｔｈ４以上でありかつしきい値Ｔｈ６以下である場合、ノイズまたは車載ＥＣＵ１２１の故障等による通信エラーが発生したと判断する。この場合、検知部５５は、判断結果を記憶部５６に記録しない。
たとえば、ノイズはランダムに発生することが多いので、通信エラーの発生するデータフレームもランダムとなる。このため、バス内プロトコルエラー分布の平均は大きくなる。また、車載ＥＣＵ１２１が経年劣化する場合、車載ＥＣＵ１２１が差出元または宛先となるデータフレームの通信エラーが散発的に発生すると考えられる。このため、バス内プロトコルエラー分布の平均が小さくても、車載ＥＣＵ１２１が差出元または宛先となるデータフレームに含まれるＣＡＮ−ＩＤについてのプロトコルエラー発生回数も小さくなる。上記の構成により、検知部５５は、少数攻撃または多数攻撃の発生を誤って判断してしまうことを防ぐことができる。
［動作の流れ］
ゲートウェイ装置１０１は、コンピュータを備え、当該コンピュータにおけるＣＰＵ等の演算処理部は、以下に示すフローチャートの各ステップの一部または全部を含むプログラムを図示しないメモリから読み出して実行する。この装置のプログラムは、外部からインストールすることができる。この装置のプログラムは、記録媒体に格納された状態で流通する。
図１１は、本発明の実施の形態に係るゲートウェイ装置がサイバー攻撃を検知する際の動作手順を定めたフローチャートである。
図１１を参照して、まず、ゲートウェイ装置１０１は、短監視間隔期間ＳＴが満了するまで、データフレームの中継処理を行いながら、発生した通信エラーを記録する（ステップＳ１０２でＮＯ）。
そして、ゲートウェイ装置１０１は、短監視間隔期間ＳＴが満了すると（ステップＳ１０２でＹＥＳ）、当該短監視間隔期間ＳＴにおいて発生した通信エラーを集計する（ステップＳ１０４）。
次に、ゲートウェイ装置１０１は、車載ネットワーク１２において用いられる複数のＣＡＮ−ＩＤのうちの１つを選択する（ステップＳ１０６）。
次に、ゲートウェイ装置１０１は、選択したＣＡＮ−ＩＤすなわち対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の短監視間隔期間ＳＴにおける合計ＥＮｓがしきい値Ｔｈ１より大きく、かつ当該短監視間隔期間ＳＴにおけるバス内プロトコルエラー分布ＥＤｓがしきい値Ｔｈ２より小さい場合（ステップＳ１０８でＹＥＳ）、少数攻撃を検知する（ステップＳ１１８）。
また、ゲートウェイ装置１０１は、合計ＥＮｓがしきい値Ｔｈ１より大きく、かつバス内プロトコルエラー分布ＥＤｓがしきい値Ｔｈ５より大きい場合（ステップＳ１０８でＮＯおよびステップＳ１１０でＹＥＳ）、多数攻撃を検知する（ステップＳ１１２）。
次に、ゲートウェイ装置１０１は、少数攻撃を検知するか（ステップＳ１１８）、または多数攻撃を検知すると（ステップＳ１１２）、検知結果をログに記録する（ステップＳ１１４）。
また、ゲートウェイ装置１０１は、合計ＥＮｓがしきい値Ｔｈ１以下であるか、もしくはバス内プロトコルエラー分布ＥＤｓがしきい値Ｔｈ２以上かつしきい値Ｔｈ５以下である場合（ステップＳ１０８でＮＯおよびステップＳ１１０でＮＯ）、または検知結果をログに記録すると（ステップＳ１１４）、車載ネットワーク１２において用いられる複数のＣＡＮ−ＩＤをすべて選択したか否かを確認する（ステップＳ１１６）。
ゲートウェイ装置１０１は、上記複数のＣＡＮ−ＩＤの中で未選択のＣＡＮ−ＩＤが存在する場合（ステップＳ１１６でＮＯ）、上記複数のＣＡＮ−ＩＤにおいて未選択のＣＡＮ−ＩＤを１つ選択する（ステップＳ１０６）。
一方、ゲートウェイ装置１０１は、上記複数のＣＡＮ−ＩＤをすべて選択した場合（ステップＳ１１６でＹＥＳ）、新たな短監視間隔期間ＳＴが満了するまで、データフレームの中継処理を行いながら、発生した通信エラーを記録する（ステップＳ１０２でＮＯ）。
図１２は、本発明の実施の形態に係るゲートウェイ装置がサイバー攻撃を検知する際の動作手順を定めたフローチャートである。
図１２を参照して、まず、ゲートウェイ装置１０１は、長監視間隔期間ＬＴが満了するまで、データフレームの中継処理を行いながら、長監視間隔期間ＬＴに含まれる各短監視間隔期間ＳＴにおいて発生した通信エラーを記録する（ステップＳ２０２でＮＯ）。
そして、ゲートウェイ装置１０１は、長監視間隔期間ＬＴが満了すると（ステップＳ２０２でＹＥＳ）、当該各短監視間隔期間ＳＴにおいて発生した通信エラーを集計する（ステップＳ２０４）。
次に、ゲートウェイ装置１０１は、車載ネットワーク１２において用いられる複数のＣＡＮ−ＩＤのうちの１つを選択する（ステップＳ２０６）。
次に、ゲートウェイ装置１０１は、選択したＣＡＮ−ＩＤすなわち対象ＣＡＮ−ＩＤに対応するプロトコルエラー発生回数の長監視間隔期間ＬＴにおける合計ＥＮｐがしきい値Ｔｈ３より大きく、かつ当該長監視間隔期間ＬＴにおけるバス内プロトコルエラー分布ＥＤｐがしきい値Ｔｈ４より小さい場合（ステップＳ２０８でＹＥＳ）、少数攻撃を検知する（ステップＳ２１８）。
また、ゲートウェイ装置１０１は、合計ＥＮｐがしきい値Ｔｈ３より大きく、かつバス内プロトコルエラー分布ＥＤｐがしきい値Ｔｈ６より大きい場合（ステップＳ２０８でＮＯおよびステップＳ２１０でＹＥＳ）、多数攻撃を検知する（ステップＳ２１２）。
次に、ゲートウェイ装置１０１は、少数攻撃を検知するか（ステップＳ２１８）、または多数攻撃を検知すると（ステップＳ２１２）、検知結果をログに記録する（ステップＳ２１４）。
また、ゲートウェイ装置１０１は、合計ＥＮｐがしきい値Ｔｈ３以下であるか、もしくはバス内プロトコルエラー分布ＥＤｐがしきい値Ｔｈ４以上かつしきい値Ｔｈ６以下である場合（ステップＳ２０８でＮＯおよびステップＳ２１０でＮＯ）、または検知結果をログに記録すると（ステップＳ２１４）、車載ネットワーク１２において用いられる複数のＣＡＮ−ＩＤをすべて選択したか否かを確認する（ステップＳ２１６）。
ゲートウェイ装置１０１は、上記複数のＣＡＮ−ＩＤの中で未選択のＣＡＮ−ＩＤが存在する場合（ステップＳ２１６でＮＯ）、上記複数のＣＡＮ−ＩＤにおいて未選択のＣＡＮ−ＩＤを１つ選択する（ステップＳ２０６）。
一方、ゲートウェイ装置１０１は、上記複数のＣＡＮ−ＩＤをすべて選択した場合（ステップＳ２１６でＹＥＳ）、新たな長監視間隔期間ＬＴが満了するまで、データフレームの中継処理を行いながら、新たな長監視間隔期間ＬＴにおいて発生した通信エラーを記録する（ステップＳ２０２でＮＯ）。
なお、本発明の実施の形態に係るゲートウェイ装置は、バス１３Ａ〜１３Ｄのすべてを攻撃の検知対象とする構成であるとしたが、これに限定するものではない。ゲートウェイ装置１０１は、バス１３Ａ〜１３Ｄの一部を攻撃の検知対象とする構成であってもよい。
また、本発明の実施の形態に係る車載ネットワークでは、ゲートウェイ装置１０１が、車載ネットワーク１２における攻撃を検知する構成であるとしたが、これに限定するものではない。バス１３に接続された各車載ＥＣＵ１２１のうちの少なくともいずれか１つが、ゲートウェイ装置１０１と同様に、検知装置として動作し、対応のバス１３における攻撃を検知する構成であってもよい。
また、本発明の実施の形態に係る車載ネットワークでは、差出元および宛先の両方を認識可能な識別情報を含むデータフレームが伝送される構成であるとしたが、これに限定するものではない。差出元および宛先のいずれか一方を認識可能な識別情報を含むデータフレームが伝送される構成であってもよい。
また、本発明の実施の形態に係る車載ネットワークでは、差出元および宛先の両方を認識可能なＣＡＮ−ＩＤを含むデータフレームが伝送される構成であるとしたが、これに限定するものではない。差出元および宛先の少なくともいずれか一方を直接示す識別情報、たとえばアドレスを含むデータフレームが伝送される構成であってもよい。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、集計部５４における集計結果における各ＣＡＮ−ＩＤ間での通信エラーの発生状況の偏りに基づいて車載ネットワーク１２における攻撃を検知する構成であるとしたが、これに限定するものではない。検知部５５は、上記偏りに基づかずに車載ネットワーク１２における攻撃を検知する構成であってもよい。具体的には、検知部５５は、たとえば、図１０に示す集計表Ｔｂｌ２を用いずに、車載ネットワーク１２における攻撃を検知する。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、短間隔検知処理および長間隔検知処理の両方を行う構成であるとしたが、これに限定するものではない。検知部５５は、短間隔検知処理および長間隔検知処理のいずれか一方を行う構成であってもよい。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、比較結果Ｒｓｔ１、比較結果Ｒｓｔ２および比較結果Ｒｓｔ５に基づいて車載ネットワーク１２における攻撃を検知する構成であるとしたが、これに限定するものではない。検知部５５は、比較結果Ｒｓｔ１および比較結果Ｒｓｔ２に基づいて車載ネットワーク１２における攻撃を検知する構成であってもよい。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、比較結果Ｒｓｔ３、比較結果Ｒｓｔ４および比較結果Ｒｓｔ６に基づいて車載ネットワーク１２における攻撃を検知する構成であるとしたが、これに限定するものではない。検知部５５は、比較結果Ｒｓｔ３および比較結果Ｒｓｔ４に基づいて車載ネットワーク１２における攻撃を検知する構成であってもよい。
ところで、特許文献１に記載の車載通信システムでは、車載ネットワークに限定して接続される第１のＥＣＵおよび第２のＥＣＵがメッセージ認証に用いる第１の暗号鍵と、車載ネットワークおよび車外ネットワークの両方に接続される第３のＥＣＵが用いる第２の暗号鍵とが異なることにより、車外ネットワークに接続されない第１のＥＣＵおよび第２のＥＣＵに対する車外ネットワークからのサイバー攻撃を防いでいる。
しかしながら、たとえば、各ＥＣＵ間を接続するバスにおいて伝送される信号を電気的に操作するようなサイバー攻撃に対しては、上記のようなセキュリティ対策が無効化されることがある。
このような攻撃を受けた場合において、車載ネットワークにおける攻撃を精度よく検知するための技術が求められる。
これに対して、本発明の実施の形態に係るゲートウェイ装置は、差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むデータフレームが伝送されるバス１３を含む車載ネットワーク１２における攻撃を検知する。バス１３において、互いに異なる識別情報を含む複数のデータフレームが伝送される。送受信部５１は、バス１３における通信エラーを監視する。集計部５４は、送受信部５１の監視結果に基づいて、識別情報ごとの通信エラーの発生状況を集計する。そして、検知部５５は、集計部５４の集計結果に基づいて車載ネットワーク１２における攻撃を検知する。
このような構成により、識別情報ごとの通信エラーの発生状況の集計結果に基づいて、データフレームの差出元または宛先の車載装置ごとの通信エラーの発生状況を認識することができるので、たとえば、バス１３において伝送される信号を電気的に操作するようなサイバー攻撃を受けて通信エラーの発生した車載装置を、特定することができる。したがって、車載ネットワークにおける攻撃を精度よく検知することができる。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、集計結果における各識別情報間での通信エラーの発生状況の偏りに基づいて車載ネットワーク１２における攻撃を検知する。
このような構成により、各識別情報間での通信エラーの発生状況の偏りに基づいて、たとえば、車載ネットワーク１２における各車載装置において満遍なく通信エラーが発生しているのか、または当該各車載装置のうちの特定の少数の車載装置に通信エラーが発生しているのかを認識することができる。これにより、たとえば、各車載装置において満遍なく通信エラーが発生している場合には電気的ノイズの影響も考慮して攻撃の検知を慎重に判断することができ、また、特定の少数の車載装置に通信エラーが発生している場合には、攻撃の可能性が高いと判断することができる。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、通信エラーの発生回数の識別情報ごとの合計、および通信エラーの発生した識別情報の数であるエラーＩＤ数に基づいて車載ネットワーク１２における攻撃を検知する。
このような構成により、たとえば、通信エラーの発生回数の多い車載装置に対して攻撃を受けたと判断しようとする場合において、通信エラーの発生した車載装置数を考慮することができるので、攻撃の有無をより正しく判断することができる。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、短監視間隔期間ＳＴにおける合計としきい値Ｔｈ１との比較結果Ｒｓｔ１およびエラーＩＤ数としきい値Ｔｈ２との比較結果Ｒｓｔ２、ならびに複数の短監視間隔期間ＳＴからなる長監視間隔期間ＬＴにおける合計としきい値Ｔｈ３との比較結果Ｒｓｔ３およびエラーＩＤ数の平均としきい値Ｔｈ４との比較結果Ｒｓｔ４の少なくともいずれか一方に基づいて車載ネットワーク１２における攻撃を検知する。
このような構成により、たとえば、短監視間隔期間ＳＴにおける合計がしきい値Ｔｈ１より大きい場合においても、エラーＩＤ数がしきい値Ｔｈ２以上であるときには、電気的ノイズによって通信エラーが広範に発生していることが考えられるので、攻撃を誤って検知してしまうことを防ぐことができる。また、たとえば、短監視間隔期間ＳＴにおける合計がしきい値Ｔｈ１より大きく、かつエラーＩＤ数がしきい値Ｔｈ２より小さいときには、特定の少数の車載装置において通信エラーが発生していることから、当該特定の少数の車載装置に対する攻撃をより正しく検知することができる。また、長監視間隔期間ＬＴにおける合計がしきい値Ｔｈ３より大きい場合においても、エラーＩＤ数の平均がしきい値Ｔｈ４以上であるときには、電気的ノイズによって通信エラーが広範に発生していることが考えられるので、攻撃を誤って検知してしまうことを防ぐことができる。また、たとえば、長監視間隔期間ＬＴにおける合計がしきい値Ｔｈ３より大きく、かつエラーＩＤ数の平均がしきい値Ｔｈ４より小さいときには、特定の少数の車載装置において通信エラーが発生していることから、当該特定の少数の車載装置に対する攻撃をより正しく検知することができる。
また、本発明の実施の形態に係るゲートウェイ装置では、検知部５５は、比較結果Ｒｓｔ１、比較結果Ｒｓｔ２およびエラーＩＤ数としきい値Ｔｈ２より大きいしきい値Ｔｈ５との比較結果、ならびに比較結果Ｒｓｔ３、比較結果Ｒｓｔ４およびエラーＩＤ数の平均としきい値Ｔｈ４より大きいしきい値Ｔｈ６との比較結果の少なくともいずれか一方に基づいて車載ネットワーク１２における攻撃を検知する。
たとえば、短監視間隔期間ＳＴにおけるエラーＩＤ数、および長監視間隔期間ＬＴにおけるエラーＩＤ数の平均の少なくともいずれか一方が極端に大きい場合、車載ネットワーク１２における多数の車載装置に対して攻撃が行われていると考えられる。上記の構成により、車載ネットワーク１２における各車載装置に対する一斉攻撃をより精度よく検知することができる。
上記実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記説明ではなく特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
以上の説明は、以下に付記する特徴を含む。
［付記１］
差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置であって、
前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、
前記バスにおける通信エラーを監視する監視部と、
前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、
前記集計部の集計結果に基づいて前記攻撃を検知する検知部とを備え、
前記検知装置は車両に搭載され、前記フレームを中継するゲートウェイ装置、または車載ＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）であり、
前記識別情報は、ＣＡＮ−ＩＤ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ−Ｉｄｅｎｔｉｆｉｅｒ）であり、
前記車載ネットワークは、前記車両に搭載されるＴＣＵ（Ｔｅｌｅｍａｔｉｃｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｔ）、自動運転ＥＣＵ、エンジンＥＣＵ、センサ、ナビゲーション装置、ヒューマンマシンインタフェースまたはカメラを含み、
前記フレームは、ＣＡＮ、ＦｌｅｘＲａｙ、ＭＯＳＴ（Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍｓ Ｔｒａｎｓｐｏｒｔ）、イーサネットまたはＬＩＮ（Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ）の通信規格に従って前記車載ネットワークにおいて伝送され、
前記集計部は、前記監視部の監視結果に基づいて、前記ＣＡＮ−ＩＤごとのプロトコルエラー発生回数を集計する、検知装置。
１ 車両
１２ 車載ネットワーク
１３ バス
５１ 送受信部（監視部）
５２ 中継部
５４ 集計部
５５ 検知部
５６ 記憶部
１０１ ゲートウェイ装置
１２１ 車載ＥＣＵ
１２２ トランシーバ
１２３ 攻撃デバイス
３０１ 車載通信システム

Claims (6)

  1. 差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置であって、
    前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、
    前記バスにおける通信エラーを監視する監視部と、
    前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、
    前記集計部の集計結果に基づいて前記攻撃を検知する検知部とを備え、
    前記検知部は、前記通信エラーの発生回数の前記識別情報ごとの合計、および前記通信エラーの発生した前記識別情報の数であるエラーＩＤ数に基づいて前記攻撃を検知する、検知装置。
  2. 前記検知部は、前記集計結果における各前記識別情報間での通信エラーの発生状況の偏りに基づいて前記攻撃を検知する、請求項１に記載の検知装置。
  3. 前記検知部は、第１の監視間隔における前記合計と第１のしきい値との第１の比較結果および前記エラーＩＤ数と第２のしきい値との第２の比較結果、ならびに複数の前記第１の監視間隔からなる第２の監視間隔における前記合計と第３のしきい値との第３の比較結果および前記エラーＩＤ数の平均と第４のしきい値との第４の比較結果の少なくともいずれか一方に基づいて前記攻撃を検知する、請求項１に記載の検知装置。
  4. 前記検知部は、前記第１の比較結果、前記第２の比較結果および前記エラーＩＤ数と前記第２のしきい値より大きい第５のしきい値との比較結果、ならびに前記第３の比較結果、前記第４の比較結果および前記平均と前記第４のしきい値より大きい第６のしきい値との比較結果の少なくともいずれか一方に基づいて前記攻撃を検知する、請求項３に記載の検知装置。
  5. 差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置における検知方法であって、
    前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、
    前記バスにおける通信エラーを監視するステップと、
    監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計するステップと、
    集計結果に基づいて前記攻撃を検知するステップとを含み、
    前記攻撃を検知するステップでは、前記通信エラーの発生回数の前記識別情報ごとの合計、および前記通信エラーの発生した前記識別情報の数であるエラーＩＤ数に基づいて前記攻撃を検知する、検知方法。
  6. 差出元および宛先の少なくともいずれか一方を認識可能な識別情報を含むフレームが伝送されるバスを含む車載ネットワークにおける攻撃を検知する検知装置において用いられる検知プログラムであって、
    前記バスにおいて、互いに異なる前記識別情報を含む複数の前記フレームが伝送され、
    コンピュータを、
    前記バスにおける通信エラーを監視する監視部と、
    前記監視部の監視結果に基づいて、前記識別情報ごとの通信エラーの発生状況を集計する集計部と、
    前記集計部の集計結果に基づいて前記攻撃を検知する検知部、
    として機能させるためのプログラムであり、
    前記検知部は、前記通信エラーの発生回数の前記識別情報ごとの合計、および前記通信エラーの発生した前記識別情報の数であるエラーＩＤ数に基づいて前記攻撃を検知する、検知プログラム。
JP2017150771A 2017-08-03 2017-08-03 検知装置、検知方法および検知プログラム Active JP6828632B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2017150771A JP6828632B2 (ja) 2017-08-03 2017-08-03 検知装置、検知方法および検知プログラム
DE112018003971.4T DE112018003971T5 (de) 2017-08-03 2018-04-11 Detektor, Detektionsverfahren und Detektionsprogramm
US16/634,605 US11218501B2 (en) 2017-08-03 2018-04-11 Detector, detection method, and detection program
CN201880044892.1A CN110832809B (zh) 2017-08-03 2018-04-11 检测装置、检测方法和非瞬态的计算机可读的存储介质
PCT/JP2018/015211 WO2019026352A1 (ja) 2017-08-03 2018-04-11 検知装置、検知方法および検知プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017150771A JP6828632B2 (ja) 2017-08-03 2017-08-03 検知装置、検知方法および検知プログラム

Publications (2)

Publication Number Publication Date
JP2019029960A JP2019029960A (ja) 2019-02-21
JP6828632B2 true JP6828632B2 (ja) 2021-02-10

Family

ID=65232592

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017150771A Active JP6828632B2 (ja) 2017-08-03 2017-08-03 検知装置、検知方法および検知プログラム

Country Status (5)

Country Link
US (1) US11218501B2 (ja)
JP (1) JP6828632B2 (ja)
CN (1) CN110832809B (ja)
DE (1) DE112018003971T5 (ja)
WO (1) WO2019026352A1 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11201878B2 (en) * 2018-11-13 2021-12-14 Intel Corporation Bus-off attack prevention circuit
JP7160178B2 (ja) * 2019-03-14 2022-10-25 日本電気株式会社 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム
KR102791477B1 (ko) * 2019-05-27 2025-04-03 현대자동차 주식회사 Can 통신에서 도스 공격 방지를 위한 전자 제어 장치 및 이를 이용한 우선 순위 변경 방법
CN112346432A (zh) * 2019-08-09 2021-02-09 北汽福田汽车股份有限公司 车辆监控方法，车载终端及车辆
JP7505503B2 (ja) * 2019-11-28 2024-06-25 住友電気工業株式会社 検知装置、車両、検知方法および検知プログラム
KR102761974B1 (ko) * 2021-11-30 2025-02-05 숭실대학교산학협력단 Can 트래픽 모니터링을 이용한 공격 ecu 탐지 방법 및 장치
JP7805218B2 (ja) * 2022-03-28 2026-01-23 本田技研工業株式会社 車載機器、車両及び方法

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5522160B2 (ja) 2011-12-21 2014-06-18 トヨタ自動車株式会社 車両ネットワーク監視装置
US9840212B2 (en) 2014-01-06 2017-12-12 Argus Cyber Security Ltd. Bus watchman
US10824720B2 (en) * 2014-03-28 2020-11-03 Tower-Sec Ltd. Security system and methods for identification of in-vehicle attack originator
JP6063606B2 (ja) * 2014-04-03 2017-01-18 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America ネットワーク通信システム、不正検知電子制御ユニット及び不正対処方法
WO2015170452A1 (ja) * 2014-05-08 2015-11-12 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車載ネットワークシステム、電子制御ユニット及び更新処理方法
EP3169101B1 (en) * 2014-07-11 2024-08-14 Sony Group Corporation Information processing device, communication system and information processing method
JP2016097879A (ja) 2014-11-25 2016-05-30 トヨタ自動車株式会社 車両制御システム
CN105981336B (zh) * 2014-12-01 2020-09-01 松下电器（美国）知识产权公司 不正常检测电子控制单元、车载网络系统以及不正常检测方法
JP6079768B2 (ja) 2014-12-15 2017-02-15 トヨタ自動車株式会社 車載通信システム
DE102015205670A1 (de) * 2015-03-30 2016-06-09 Volkswagen Aktiengesellschaft Angriffserkennungsverfahren, Angriffserkennungsvorrichtung und Bussystem für ein Kraftfahrzeug
US10798114B2 (en) * 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
JP6684690B2 (ja) * 2016-01-08 2020-04-22 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 不正検知方法、監視電子制御ユニット及び車載ネットワークシステム
JP6558703B2 (ja) * 2016-12-14 2019-08-14 パナソニックＩｐマネジメント株式会社 制御装置、制御システム、及びプログラム
JP6891671B2 (ja) * 2017-06-29 2021-06-18 富士通株式会社 攻撃検知装置および攻撃検知方法

Also Published As

Publication number Publication date
US11218501B2 (en) 2022-01-04
JP2019029960A (ja) 2019-02-21
WO2019026352A1 (ja) 2019-02-07
DE112018003971T5 (de) 2020-04-09
US20210105292A1 (en) 2021-04-08
CN110832809B (zh) 2021-10-19
CN110832809A (zh) 2020-02-21

Similar Documents

Publication Publication Date Title
JP6828632B2 (ja) 検知装置、検知方法および検知プログラム
US11411681B2 (en) In-vehicle information processing for unauthorized data
US11356475B2 (en) Frame transmission prevention apparatus, frame transmission prevention method, and in-vehicle network system
US11296965B2 (en) Abnormality detection in an on-board network system
JP7280082B2 (ja) 不正検知方法、不正検知装置及びプログラム
US10693905B2 (en) Invalidity detection electronic control unit, in-vehicle network system, and communication method
US11863569B2 (en) Bus-off attack prevention circuit
JP6566400B2 (ja) 電子制御装置、ゲートウェイ装置、及び検知プログラム
CN114503518B (zh) 检测装置、车辆、检测方法及检测程序
CN111066001A (zh) 日志输出方法、日志输出装置以及程序
WO2018168291A1 (ja) 情報処理方法、情報処理システム、及びプログラム
EP4224790A1 (en) Method for protection from cyber attacks to a vehicle based upon time analysis, and corresponding device
KR102648651B1 (ko) Can 네트워크에서 공격을 탐지 및 대응하기 위한 방법
CN118592018A (zh) 检测装置及检测方法
CN118104217A (zh) 检测装置、检测方法和检测程序

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200221

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20201117

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20201211

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20201222

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210104

R150 Certificate of patent or registration of utility model

Ref document number: 6828632

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250